中国石化工程建设公司的数据文档安全建设

　　具有50年发展历史的中国石化工程建设公司（SEI），是集工程项目的可行性研究、技术咨询、设计、设备采购、施工管理和监理、工程总承包、项目管理服务、技术服务为一体的国际型工程公司，隶属中国石油化工集团公司。

　　在长期致力于中国石化工业的建设、创新与发展、承担设计和建设大型炼油、石油化工生产基地的过程中，中国石化工程建设公司（以下简称SEI）建成了先进的计算机网络平台体系和应用体系，在这样的系统平台上，运行着多个国际先进的工艺技术、工程设计、项目管理及办公自动化等应用软件和工程数据库。

　　仅有的防护远远不够

　　对于顶尖的工程公司来说，工艺、设计过程文件、方案等数字资产是企业的核心资源，因此SEI对网络中的服务器、存储设备中以及2500多个客户端上的电子文件视如珍宝。对公司中的每一台服务器、PC终端，都采用了AD域进行管理，并制定了严格规范的管理制度。但是，由于公司有大量的外来工作人员（大约占公司员工总数的25%）和外部合作伙伴，需要进入公司内部网络处理业务，这给SEI保护企业内的研究成果带来了麻烦：既要允许企业以外的员工查看这些数字资产，又要确保数字资产的安全、在合理的权限下保证数字资产的正常流转，同时又不能让这些“宝贝”被人随便带走，的确是一个不小的难题。

　　为了解决这些难题，SEI尝试过不少方案，但只是局限于通过Windows自带的权限控制功能进行管理，这种文档访问限制一般只能控制到读、写、删除等操作的权限，而授权用户一旦拥有了这些权限，就可以不受限制的传播和复制电子文档的内容，或者说，访问者一旦进入了某个文件夹，里面的所有文档都将处于公开、未授权状态。即使文件经过保护，这些（如Word/Excel/PowerPoint 、Adobe PDF、WinZip、WinRAR 等）文档的合法用户也可以对保护的内容进行复制和扩散。同时，由于文件都是分布式存放于使用者的个人磁盘上，一旦拥有授权，就具有了文档的永久使用权限，随时阅读、打印都可以。这样保护的严密程度难以达到公司期望的效果。

　　寻求数字资产的守护者

　　在这种情况下，2005年底SEI开始了求索的过程。更重要的是寻求一种完善的文件全面解决方案，包括SEI已有项目的成果图纸，公司内部的一些工程的规范，工艺包，公司内招投标文件和相关的法律文件等。另外，SEI对文档保护有一个作为大型工程设计单位独特的需求，就是该公司会经常使用CAD+Microstation进行图纸操作，因此要求参选公司必须支持用这两种系统对同一张图纸的混合调用。而这项功能在目前大多数的文档保护类产品中却没有考虑到的。同时，对于网络内涉及的人员经常出现的跨部门的现象，SEI还要求产品系统必须支持策略授权和单独授权的统一。

　　在众多参加竞争的公司中，前沿计算机科技有限公司的文档安全管理系统凭借着与AD/OA等IT系统的集成，支持多个密文同时打开，不改变文档运用格式以及最终提供定向再开发等多项功能和技术上的优势，2006年初，SEI选中了前沿科技的前沿文档安全管理系统FD-DSM 5.5作为其数字资产的守护者。

　　该套系统采用C/S结构，运用灵活自主的手动加密技术和高度细化的授权管理机制，实现电子文档的全生命周期安全管理。在该平台的管理下，对需要保护的电子文档实行自主可控的加密，以科学严谨的密集授权机制和单独授权机制的有机结合，设置访问权限的授权策略和安全策略，管理功能落实到了企业内部的职位角色和计算机用户。前沿科技的这套文档安全管理系统恰恰满足了SEI的种种需求。

　　为了满足SEI提出的图纸混合调用和授权统一的需求，前沿为此专门进行了定制开发。在权限管理方面，授权机制更加科学化、更加严谨，与SEI的内部管理紧密结合。不但将授权对象落实到每个计算机用户以及企业内部不同的职位角色，还将独创的文档密集授权概念与文档单独授权有机结合。对不同应用格式文档实现批量授权的同时也可以灵活的针对个别文档采用单独授权机制。充分满足了SEI的需求。

　　顺利实施 效果显著

　　在SEI相关人员的大力配合下，整个安装过程非常顺利进行。SEI信息中心负责人表示：依靠自主可控的手动加密技术和高度细化的授权管理机制，在不改变文件格式的前提下对重要数据信息进行保护。同时加密后的文件，仍然保留原有的使用习惯，满足我们特殊的图纸混合调用需求。俗话说，内网信息安全靠的是“七分管理，三分技术”。前沿科技的这套文档安全管理系统，不光是技术上的保护，同时它还方便了我们的管理，充分保护SEI重要信息数据，使SEI能够更加放心的发展技术，开拓市场。